Pré-Requisitos

O participante do b-Cadastros precisa implantar em sua infraestrutura um servidor, chamado de peer, que será membro da rede blockchain e receberá os dados das bases autorizadas. O Serpro fornece uma automação para o provisionamento do peer do participante, mas para isso é necessário que todos os requisitos abaixo sejam atendidos.

Requisitos de Segurança

O servidor que hospeda o peer deve estar protegido por firewalls, DMZs, IPS/IDS, conforme as políticas de segurança da rede do participante e não deve estar acessível pela Internet.

O peer deve estar bem protegido de acessos oriundos da Internet, devendo ser permitidas apenas conexões de saída. Equipamentos de segurança, como firewalls devem ser configurados para permitir apenas conexões de saída do peer para a Internet (nunca conexões de entrada).

Durante a instalação e em procedimentos de atualização o peer acessa alguns endereços públicos para obtenção de pacotes, dependências e imagens Docker. Como esses endereços são associados a faixas de IPs dinâmicas, recomendamos que sejam filtrados apenas no caso do uso de filtro de conteúdo. Caso haja apenas utilização de firewall, recomendamos que o acesso seja liberado para toda a Internet pela porta 443 (apenas saída).

*.docker.io:443
*.docker.com:443
*.pypi.org:443
files.pythonhosted.org:443
*.github.com:443
galaxy.ansible.com:443
ansible-galaxy.s3.amazonaws.com:443
ansible-galaxy-ng.s3.dualstack.us-east-1.amazonaws.com:443
ifconfig.me

Já durante todo o período de funcionamento do peer é necessário que ele tenha acesso permanente aos endereços a seguir, relativos aos serviços do b-Cadastros no Serpro. Como são ranges de IPs, esses endereços devem ser configurados de maneira fixa nos firewalls existentes. Após finalizada a instalação os acessos à Internet podem ser bloqueados, mas os endereços a seguir devem permanecer liberados.

189.9.93.0/24 porta 443
189.9.112.0/24 porta 443
189.9.113.0/24 porta 443
189.9.123.0/24 porta 443
161.148.220.0/24 porta 443
161.148.222.0/24 porta 443

Requisitos de rede

• Endereço IP válido para o peer;
• Endereço DNS (FQDN) registrado para o IP válido do peer;
• Saída para a Internet, com taxa de download mínima de 10 Mbps para recepção dos dados da rede blockchain.

Certificado Digital do Peer

O peer precisa de um certificado digital de SSL/TLS válido, emitido por uma AC subordinada à ICP-Brasil, com as seguintes especificações:

• O atributo Common Name (CN) do campo Subject deve conter o endereço de DNS do peer;
• A extensão Subject Alternative Name (SAN) deve conter o campo dNSName com o endereço de DNS do peer;
• Certificados do tipo wildcard e e-CNPJ não são compatíveis com a solução;
• O certificado deve ser emitido com, pelo menos, as seguintes extensões:

X509v3 Subject Alternative Name:
        DNS Name: nome-do-peer.organizacao.gov.br 

X509v3 Key Usage: critical
        Digital Signature 
        Key Encipherment ou Key Agreement

X509v3 Extended Key Usage:
        TLS Web Server Authentication (OID 1.3.6.1.5.5.7.3.1)
        TLS Web Client Authentication (OID 1.3.6.1.5.5.7.3.2)

• O número do CNPJ do participante deve constar no certificado em um dos seguintes locais, a depender da política utilizada pela AC emitente:
  • Campo Subject, atributo serialNumber (OID 2.5.4.5), ou;
  • Extensão Subject Alternative Name, campo otherName, OID 2.16.76.1.3.3.

Configurações do peer participante

Servidor físico ou virtual com as seguintes configurações:

• 4 (v)CPUs;
• 8 GB de RAM;
• 1 TB de disco, prefeencialmente SSD, alocados para o /var;
• Sistema Operacional atualizado:
  • AlmaLinux 9;
  • Rocky Linux 9;
  • RedHat Enterprise Linux® 9;